[發明專利]利用一次EAP過程執行多次認證的方法和裝置

無效

• 申請號: 200610106570.4
• 申請日: 2006-07-17
• 公開（公告）號: CN101110673A
• 公開（公告）日: 2008-01-23
• 發明（設計）人: 趙潔;王潔
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L29/06;H04L1/18
• 代理公司: 北京康信知識產權代理有限責任公司
• 代理人: 章社杲;尚志峰

技術領域

本發明涉及一種利用EAP過程進行認證的方法和裝置，更具體地，涉及一種利用一次EAP過程執行多次認證的方法和裝置。

背景技術

EAP(Extensible?Authentication?Protocol)是可擴展認證協議。相關規范是IETF?RFC?3748。EAP是一個支持多種認證方式的認證框架，典型地運行于數據鏈路層，如PPP(點到點協議Point-to-PointProtocol)，IEEE?802之上，不需要IP的支持。

圖1是兩種EAP的框架圖。

圖1的(a)中包括了三個實體，認證對端(peer)100，認證方(authenticator)110和支持認證服務器(backend?authenticationserver)120，這種框架下，認證對端100和認證方110之間進行信息交互，完成認證過程。認證服務由支持認證服務器120提供，而認證方110只作為數據的傳遞(pass-through)者和認證的判斷方。而(b)中，認證方110不僅作為EAP服務器，也是EAP的發起者和認證的判斷方。

圖2示出了現有技術的EAP執行過程的流程圖，其中，以第二種框架為例。

如圖2所示，該方法的詳細過程包括以下步驟：

認證方發送EAP請求消息給認證對端。請求中的類型字段指示了請求的內容。類型字段包括了身份、MD5-challenge等。典型地，初始消息中認證方會發送身份請求，但不是必須的。

認證對端對有效的請求回送響應(Response)，響應中包含了請求中要求的類型的內容。

隨后，認證方再次發送請求，認證對端回應響應。這樣的交互只要需要會一直持續下去。EAP是“lock?step”協議，在收到有效的響應前，不能發送新的請求。認證方負責重發請求。但重發次數超過限定值后，認證方將終止EAP會話。認證方在重發或未收到響應時，不能發送成功或失敗報文。

當會話進行中，認證方不能對認證對端成功地進行認證，認證方必須發送EAP失敗消息，并結束會話。但當認證方能夠判斷認證成功后，將必須發送EAP成功消息。

EAP只是定義了一種框架，在EAP之上可以使用多種認證方法(EAP?method)，典型的包括EAP-AKA、EAP-TLS等。AKA是3G網絡采用的主要認證技術。該機制基于預共享密鑰實現網絡與終端的雙向認證。為了傳遞AKA的參數，EAP-AKA在請求和應答消息中擴展了若干類型(也就是新的類型值)，典型的是AKA-Challenge。下面詳細說明EAP-AKA的執行過程。

圖3示出了現有技術的EAP執行過程的流程圖。

如圖3所示，該方法的詳細過程包括以下步驟：

步驟S310，認證方向認證對端發送EAP請求消息，該消息請求認證對端發送它的身份。

步驟S320，認證對端通過EAP響應消息向認證方發送自己的身份。

步驟S330，認證方根據認證對端發送的身份，查找到對應用戶的信息，主要是預共享的密鑰。認證方根據預共享密鑰以及生成的隨機數(RAND，Random?challenge)，序列號(SQN，Sequencenumber)計算認證向量(AV，Authentication?Vector)。AV由隨機數(RAND，Random?challenge)、認證值(AUTN，AuthenticationToken)、期待的響應(XRES，Expected?Response)、完整性密鑰(IK，Integrity?Key)和加密密鑰(CK，Cipher?Key)組成。由于需要對EAP?AKA數據包進行完整性保護，認證方還會計算密鑰TEK(Transient?EAP?Key)。

步驟S340，認證方將RAND、AUTN，以及用TEK計算的EAPAKA消息完整性值MAC發給認證對端。

步驟S350，認證對端根據收到的RAND、AUTN中的SQN以及與網絡側共享的密鑰計算AV。認證對端將自己計算的AV中MAC值與收到的AUTN中的MAC值進行比較，如果相同，則成功認證網絡。認證對端同樣也會計算TEK，并校驗收到的AT_MAC。

為了保證消息的完整性，所以要執行以下步驟。

步驟S360，認證對端也會用TEK計算EAP?AKA消息的完整性值MAC，認證對端將計算的RES和MAC發送給認證方。